No domínio do enquadramento da segurança das comunicações o ano de 2011 destaca-se pela publicação das alterações à lei das comunicações eletrónicas as quais transpõem para a legislação nacional as alterações ao quadro regulatório europeu para as comunicações eletrónicas, designadamente em matéria de segurança e integridade de redes e serviços.
Assinala-se, a este propósito, que falta transpor as alterações em matéria de proteção de privacidade e proteção de dados pessoais em redes e serviços de comunicações eletrónicas.
Em matéria de segurança das comunicações destaca-se ainda o desenvolvimento das ações constantes do plano europeu de proteção às infraestruturas críticas da informação o qual teve uma segunda versão publicada em 2011 através da comunicação da Comissão Europeia, COM(2011) 163 final, intitulada “Realizações e próximas etapas: para uma cibersegurança mundial”, nas quais o ICP-ANACOM participou ativamente, como adiante se refere.
4.6.1. Implementação das alterações ao quadro regulatório
As alterações ao quadro trazem novas realidades no respeitante a segurança das comunicações para o setor, tais como, a fixação de medidas técnicas e organizacionais, a notificação de violações de segurança ou de perdas de integridade com impacte significativo para o funcionamento das redes e dos serviços, ou a realização de auditorias de segurança. A lei veio ainda trazer outras obrigações, nomeadamente, o estabelecimento de pontos de contacto, a realização de exercícios, o desenvolvimento de planos de segurança e a apresentação de relatórios anuais, para além de novas obrigações de informação aos subscritores, dos elementos mínimos a constarem dos contratos a celebrar, e de acesso aos serviços de emergência.
A nova lei estabelece ainda um conjunto de normas em matéria de segurança e emergência para o sector, designadamente: quanto a infraestruturas criticas, quanto às medidas e aos procedimentos das empresas relativamente à salvaguarda de reserva de capacidade para comunicações de emergência de interesse público ou ao congestionamento de redes em situações de emergência, quanto ao sistema de resposta a incidentes de segurança da informação, e quanto aos recursos de comunicações eletrónicas com utilidade para a proteção civil.
Durante o ano de 2011, o ICP-ANACOM participou em diversos eventos do sector em que procedeu à apresentação e à divulgação das principais linhas de alteração ao quadro em matéria de segurança das comunicações.
Paralelamente, participou-se ativamente nos trabalhos europeus de implementação do novo quadro, facilitados pela ENISA, designadamente quanto ao artigo 13.º-A da diretiva quadro relativo às novas obrigações dos operadores e prestadores de serviços de comunicações eletrónicas quanto a segurança e integridade das redes e serviços, envolvendo paralelamente os operadores e prestadores de serviço, seja através da realização de workshops de sensibilização, tal como previsto nas ações estratégicas, seja através da obtenção de comentários aos documentos em preparação.
Em resultado destes trabalhos a ENISA publicou no final de 2011, dois documentos a saber: “Technical Guidelines for Reporting Security Breaches” e “Technical Guidelines for Minimum Security Measures”.
A partir da publicação destes dois documentos foram desenvolvidas duas linhas de ação. A primeira relativa à fixação de obrigações às empresas quanto à notificação de violações de segurança e perdas de integridade com impacte significativo e respetiva divulgação pública cujo SPD foi colocado a consulta pública no final de 2011. A segunda relativa às medidas técnicas e organizacionais a adotar pelas empresas pretendendo-se com base nas medidas constantes do documento da ENISA proceder a uma primeira avaliação da realidade nacional.
Subsequentemente, importará dar corpo ao previsto no artigo 13.º-B da diretiva quadro, em especial no respeitante ao quadro de referência para a realização das auditorias aí previstas.
No respeitante à privacidade e à proteção dos dados pessoais, tal como anteriormente referido não foram ainda transpostas para a legislação nacional as alterações ao quadro regulatório europeu, por esse motivo não lançado em 2011 o estudo de impacto que foi previsto realizar, considerando-se que deve ser iniciado após publicação da nova legislação, pelo que se aproveitou para desenvolver os trabalhos referentes à sua preparação.
4.6.2. Número único de emergência europeu 112
A reestruturação dos centros de atendimento do 112 não está concluída numa nova infraestrutura (112.pt) o que tem como consequência a existência de um cenário não homogéneo no tratamento das chamadas de emergência.
Tal como nos anos anteriores elaborou-se, em articulação com o MAI, as respostas ao 5.º questionário da Comissão Europeia relativo à implementação do 112 em Portugal, e o ICP-ANACOM participou nos trabalhos do grupo de peritos EGEA (Expert Group on Emergency Access).
No âmbito da localização da pessoa que efetua uma chamada de emergência para o 112 o novo quadro europeu estipula que deverão os reguladores nacionais definir, em articulação com os organismos de normalização europeus, critérios de precisão e fiabilidade da informação de localização disponibilizada pelos operadores. No caso nacional o regulamento do 112L já dispõe sobre esta matéria, sem prejuízo de ser revisitado com vista à sua desejada melhoria.
A nível europeu existe o objetivo de operacionalizar a partir de 2015 um serviço pan-europeu, harmonizado e interoperável, de resposta a chamadas de emergência para o 112, espoletadas manual ou automaticamente a partir de viaturas automóveis – serviço eCall. A partir daquela data as novas viaturas deverão integrar esta nova funcionalidade. Em termos nacionais foi criada uma plataforma para a implementação do eCall em Portugal coordenada pelo MAI e que integrou o ICP-ANACOM, adicionalmente, esta autoridade participou nos trabalhos da plataforma europeia para este mesmo assunto.
4.6.3. Articulação com a Proteção Civil
O desenvolvimento das ações do ICP-ANACOM no referente à proteção civil tem enquadramento legal previsto pela lei das comunicações eletrónicas, designadamente após a sua republicação pela Lei n.º 51/2011, de 13 de setembro, no âmbito da segurança e emergência (artigo 2.º A), adicionalmente manteve-se em vigor o protocolo com a ANPC, que tinha sido celebrado anteriormente.
Em termos futuros e atendendo a que a ANPC e o ICP-ANACOM, mercê das leis orgânicas do MAI e MEE respetivamente, passam a deter competências e atribuições no âmbito do planeamento civil de emergência, também aqui se espera que irão decorrer diversas ações de articulação entre estas duas entidades.
Durante 2011, regista-se o desenvolvimento das seguintes ações, algumas delas constantes do plano estratégico:
- A ANPC iniciou a revisão do seu Plano Nacional de Emergência de Proteção Civil, tendo o ICP-ANACOM para este efeito dado o seu contributo numa primeira fase aguardando-se pelo seu desenvolvimento no futuro próximo;
- O Sistema Nacional de Alerta e Aviso constitui uma componente daquele plano e foi objeto de particular atenção por parte de ambas entidades, nomeadamente na necessidade de recorrer às redes e serviços públicos de comunicações eletrónicas, designadamente às redes de radiodifusão e às redes móveis;
- A realização, a 17 de novembro, do exercício PROCIV V promovido e coordenado pela ANPC merece especial destaque pela participação do setor das comunicações eletrónicas, representadas pelo ICP-ANACOM e pela PTC e pelos três operadores de redes móveis. Em resultado deste exercício foi possível identificar diversos aspetos de articulação com e de coordenação do setor que devem ser alvo de melhoria ou de avaliação em futuros exercícios, os quais constam do relatório setorial oportunamente elaborado, a saber:
- Identificação e caracterização das interdependências entre o setor das comunicações eletrónicas e o setor energético (energia elétrica, combustíveis),
- Cooperação entre as empresas na deteção, avaliação e resposta a incidentes,
- Formação de equipas estáveis e de fácil acesso aos centros de decisão;
- Alargamento da participação aos centros do 112, ao SIRESP e demais infraestruturas de comunicações de suporte à ação da Proteção Civil;
Em resultado da ocorrência no final de 2010 de um tornado nos Municípios da Sertã, Tomar e Ferreira do Zêzere que afetou algumas infraestruturas de comunicações procedemos a uma análise tendo em vista identificar eventual necessidade de melhoria dos procedimentos adotados pelos operadores.
4.6.4. Exercícios de segurança de comunicações
A partir de 2010, no âmbito da proteção às infraestruturas críticas da informação, a Comissão Europeia, com o apoio da ENISA, dá início a uma atividade regular de realização de exercícios envolvendo os Estados Membros e alargando-os inclusivamente aos membros da EFTA e aos EUA. Em 2011, o ICP-ANACOM continuou a participar ativamente nesta atividade.
Do Cyber Europe 2010, que teve o seu relatório final publicado no início de 2011, ressaltam algumas recomendações: a necessidade de que os Estados Membros desenvolvam planos nacionais de contingência e que realizem com regularidade exercícios nacionais, e o alargamento da participação nos exercícios ao setor privado aumentando o seu realismo.
Durante este ano realizou-se o EuroCybex e o Cyber Atlantic 2011. O primeiro testou os procedimentos técnicos de cooperação e de troca de informação entre os Estados Membros durante uma ciber crise, tendo em vista o conhecimento das suas causas e a mitigação do seu impacto; a participação foi limitada a quatro Estados Membros. O Cyber Atlantic 2011, no qual o ICP-ANACOM foi observador, foi o primeiro exercício em que a participação foi alargada para além dos Estados Membros, no caso aos EUA.
Finalmente, deu-se início à preparação do Cyber Europe 2012 tendo-se acordado a sua realização para o início do mês de outubro de 2012 e os objetivos a atingir, a saber:
- Testar a efetividade e a escalabilidade dos mecanismos e procedimentos existentes, e os fluxos de informação, para a cooperação entre autoridades públicas competentes em caso de um incidente de cibersegurança de grande dimensão;
- Explorar a cooperação e a articulação entre as entidades públicas e as empresas durante um incidente de cibersegurança de grande dimensão;
- Identificar as lacunas e os desafios para um tratamento eficaz dos incidentes de cibersegurança de grande dimensão na Europa.
A nível nacional iniciou-se a preparação do COMPOR 2012 prevendo-se a realização de um workshop no início de 2012 e que o exercício se concretize no final de 2012.
4.6.5. Sub-registo e Segurança Interna do ICP-ANACOM
Em 2011, na sequência da mudança da Direção de Segurança das Comunicações para as instalações de Barcarena diligenciou-se no sentido de as dotar de uma área de classe 1 para arquivo e manuseamento de matéria classificada. Prevê-se que o GNS realize a inspeção de autorização de abertura destas novas instalações no início de 2012.
Igualmente, reforçou-se a formação dos colaboradores do ICP-ANACOM com o Curso Geral de Segurança de Matérias Classificadas ministrado pelo Gabinete Nacional de Segurança. Em paralelo e quiçá também em consequência aumentou o número de colaboradores credenciados.
Adicionalmente foi preparada a estrutura e o conteúdo das ações de formação sobre segurança da informação, previstas para 2012.
4.6.6. Outros
Para além do acima mencionado importará assinalar ainda o aprofundamento da cooperação com a FCCN, tendo em vista o desenvolvimento de ações de combate ao SPAM e às botnet’s, cujas ações deverão ter sequência em 2012;
A adesão do ICP-ANACOM ao projeto europeu de cooperação entre autoridades competentes pela aplicação de legislação de proteção do consumidor, no respeitante ao SPAM e ao comércio eletrónico, cujas ações deverão desenvolver-se em 2012.
